01
Offline finalita
Přijímající strana rozhoduje na místě, bez sítě. Ne store-and-forward, kde se riziko odloží a později ho nese někdo jiný — ale skutečné, lokálně konečné přijetí.
Předchůdci
Celé pole, změřené.
Tvrzení typu „jiný systém není znám“ má přesně takovou cenu, jakou má rešerše, která za ním stojí. Následuje proto měřítko, prozkoumané zdroje a výsledek — položku po položce.
Měřítko
Sedm vlastností, každá rozhodnutelná zvlášť, podle nichž lze změřit jakýkoli systém — akademickou konstrukci, průmyslový produkt, pilot centrální banky, patent. Prvních šest je falzifikovatelných: stačí ukázat jeden systém, který splňuje všech šest, a tvrzení padá.
02
Bez důvěry v hardware
Bezpečnostní argument nestojí na komponentě odolné proti manipulaci uvnitř uživatelova zařízení. Běžný chytrý telefon, bez bezpečnostního hardwaru. Volitelné použití takové komponenty je přijatelné; tvrzení, které se bez čipu zhroutí, nikoli.
03
Převod přes více kroků
Digitální bankovka putuje dál offline, z ruky do ruky — nejméně dva kroky bez návratu k vydavateli. V tom je rozdíl mezi kartou elektronických peněz a hotovostí: z karty hodnota přejde k obchodníkovi a tam se zastaví, bankovka jde dál.
04
Sebeprozrazující podvod
Totožnost toho, kdo utratil dvakrát, je kryptograficky obnovitelná ze stop obou plateb. Nic neodpečeťuje důvěryhodná třetí strana a nic neposuzuje žádný úřad — vydá to matematika a ověřit si to může kdokoli.
05
Určení viníka, které šetří nevinné
Systém označí přesně původního podvodníka a všichni ostatní, poctiví členové řetězce si udrží anonymitu — neprozradí se poctiví držitelé před podvodníkem ani ti po něm a nestanou se ani podezřelými.
06
Bez křivého obvinění
Formální věta o tom, že proti poctivému uživateli nelze vyrobit platný důkaz dvojího utracení — ani zlovolným vydavatelem, ani spolčenými účastníky řetězce. Literatura tomu říká exculpability nebo non-frameability. Právě to odděluje skutečnou odpovědnost od pouhé obvinitelnosti.
07
Nasaditelnost
Verzovaná specifikace, referenční implementace, funkční demonstrátor, změřené velikosti a změřené časy běhu, pojmenovaná volba křivky, živá základní vrstva a rámec pro regulaci i nápravu škod. Konstrukce, která je správná na papíře, ale u pokladny nepoužitelná, není platební systém.
Obvyklá námitka proti měřítku zní, že si ho jeho autor ušil na míru. Stojí proto za zmínku, že zcela nezávislá systematizace měří pátou vlastnost přesně stejně. Jeden sloupec práce SoK: Offline Payment Systems z března 2026 (Univerzita Innsbruck, Vídeňská univerzita, SBA Research; arXiv:2603.16320, třicet šest systémů) nese název „privacy revocation“ a je definován takto: DS, pokud k odhalení dochází jen v případech dvojího utracení, a U, pokud může být soukromí poctivých uživatelů odhaleno nezamýšleně, jako vedlejší efekt odhalení toho, kdo utratil dvakrát. Autoři sázejí U červeně, jako výslovně nežádoucí vlastnost. Ze systémů s plnou offline schopností dostávají U přesně dva — tytéž dvě konstrukce, které výše uvedené měřítko jmenuje jako protipříklady. Toto kritérium tedy není vynálezem Pactena.
Akademická linie
Čtyři desetiletí, položku po položce, u každé s tím, co dala a co stála. Čtena v pořadí má tato linie tvar: každý krok, který získal nějakou vlastnost, za ni jinde zaplatil.
- Rok
1982
Co to byloChaum: slepý podpis.
Co to daloMyšlenka anonymní digitální hotovosti, v konstrukci natolik elegantní, že je dodnes základem.
CenaOnline. Obchodník musí při každé jednotlivé platbě zavolat bance, aby zjistil, jestli bankovka už nebyla utracena. Offline nepoužitelné, a převod tu není.
- Rok
1988
Co to byloChaum–Fiat–Naor: offline elektronická hotovost.
Co to daloZrod sebeprozrazujícího dvojího utracení. Totožnost plátce je do bankovky zakódovaná tak, že jedna platba neprozradí nic, kdežto ze dvou plateb banka spočítá jméno podvodníka.
CenaJeden krok. Uživatel zaplatí obchodníkovi, obchodník ji uloží v bance. Žádné putování z ruky do ruky. A jedna věc, kterou je třeba říct přesně: článek neobsahuje žádný důkaz nemožnosti prevence. Obsahuje návrhové rozhodnutí — staví na detekci místo prevence, protože offline prevenci dát nelze.
- Rok
1990–1992
Co to byloOkamoto–Ohta: první převoditelná elektronická hotovost.
Co to daloPeníze, které mohou putovat mezi libovolným počtem uživatelů.
CenaAnonymita je slabá. I bez jakéhokoli dvojího utracení lze rozhodnout, zda dvě platby provedl tentýž uživatel. Literatura to později pojmenovala weak anonymity.
- Rok
1993
Co to byloChaum–Pedersen: negativní výsledek.
Co to daloDůkaz, že převáděná bankovka s každým předáním nutně roste, a že pozorovatel s neomezenými prostředky vždy pozná bankovku, kterou už dříve držel.
CenaTato věta visí nad celou další linií. Každá převoditelná konstrukce musí platit za každý krok. Otevřené zůstává jen kolik.
- Rok
2005
Co to byloCamenisch–Hohenberger–Lysyanskaya: Compact E-Cash.
Co to daloPrůlom v efektivitě výběru — mnoho bankovek jedinou operací, v malém úložišti. Od té doby široce používaný stavební prvek.
CenaNepřevoditelné. Uživatel → obchodník, a tím cesta končí.
- Rok
2008
Co to byloCanard–Gouget: formální model.
Co to daloPrvní formální systematizace pojmů anonymity pro převoditelnou hotovost a důkaz, že nejsilnější myslitelný pojem je nedosažitelný. Dávají i konstrukci, která splňuje každou dosažitelnou vlastnost.
CenaVlastními slovy literatury „completely impractical“ (zcela nepraktické) — stojí na obecných redukcích z teorie složitosti, jde tedy o principiální konstrukci, ne o systém, který by šlo postavit.
- Rok
2009
Co to byloFuchsbauer, Vergnaud a spoluautoři: převoditelná hotovost konstantní velikosti.
Co to daloElegantní obejití meze růstu: historie řetězce se nenese v bankovce, ale ukládá se do stvrzenek u uživatelů. Velikost zůstává konstantní.
CenaToto je nejpoučnější cena z celého příběhu. Při dvojím utracení mohla důvěryhodná stopovací strana odhalit totožnost poctivých držitelů, jejichž rukama poznamenaná bankovka později prošla — nevinní zaplatili za viníka, byť jen před jednou privilegovanou stranou. Dvě upřesnění pro férovost: anonymita se neztrácí veřejně, jen vůči té důvěryhodné straně, a proces je interaktivní, stvrzenky je nutné si od uživatelů vyžádat. Podle výše uvedeného měřítka vlastnost přesto neplatí: poctiví držitelé jsou identifikováni a stávají se podezřelými.
- Rok
2011
Co to byloBlazy a spoluautoři: anonymita se soudcem.
Co to daloNáprava nedostatků předchozí práce, s vrácením anonymity poctivému uživateli.
CenaPotřebuje vševidoucího soudce. Ten klíč ovšem neidentifikuje jen podvodníka: s ním lze kdykoli vystopovat kteroukoli bankovku a kteréhokoli uživatele. Cena neklesla, jen změnila tvar — jediný klíč, který otevře anonymitu celého systému.
- Rok
2015
Co to byloBaldimtsi–Chase–Fuchsbauer–Kohlweiss: plně anonymní převoditelná hotovost.
Co to daloPrvní konstrukce, která bez důvěryhodné třetí strany míří na všechny tři pojmy anonymity z literatury. Návrhový cíl formulují autoři takto: „it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved“ (je třeba zajistit, aby byl obviněn ten správný uživatel a přitom zůstala zachována anonymita poctivých držitelů) — v podstatě pátá vlastnost výše uvedeného měřítka, z roku 2015.
CenaDvě ceny. V důkazu k nejsilnějšímu pojmu anonymity se později našla chyba — a našli ji autoři další kapitoly. A podle vlastního hodnocení literatury je „hardly practical“ (sotva praktické); stavební prvky jsou „far from being implementable on constrained mobile devices“ (zdaleka ne implementovatelné na mobilních zařízeních s omezenými prostředky).
Bauer–Fuchsbauer–Qian, 2021 — jediný skutečný vyzyvatel
V roce 2021 představili Balthazar Bauer, Georg Fuchsbauer a Chen Qian na konferenci PKC práci Transferable E-Cash: A Cleaner Model and the First Practical Instantiation. Jejich konstrukce splňuje všech šest falzifikovatelných vlastností. Offline finalita, bez důvěry v hardware, neomezená hloubka převodu, sebeprozrazující dvojí utracení, určení viníka šetřící nevinné a formální věta o tom, že nikoho nelze křivě obvinit — poslední z nich zároveň proti zlovolné bance i spolčeným účastníkům řetězce. Všechny tři pojmy anonymity z literatury jsou dokázané, včetně toho nejsilnějšího. Nezávislá systematizace z roku 2026 to potvrzuje a řadí je na stranu „jen v případech dvojího utracení“.
Proveditelnost té kombinace vlastností tedy ukázali oni. To není sporné. Zbytek této stránky je ověřitelný právě proto, že zdroj toho pojmu je pojmenovaný — a stejně přesně je pojmenované i to, co k němu přibylo.
To, co uděláno nebylo, je striktně kategorie faktu a má tři složky: není publikovaná implementace, není změřený čas běhu a není volba křivky. Potvrzují to tři nezávislé zdroje — práce z ACNS 2026, která na ni odkazuje („the performance of Bauer et al. is not reported“), tabulka SoK z roku 2026, kde jsou buňky pro implementaci, transakce za sekundu a latenci prázdné, a vlastní disertace prvního autora, v níž hledání v plném textu na časy běhu, velikosti v bajtech, prototyp nebo křivku nevrací nic podstatného.
We view this as practical by current standards.
| Veličina | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| Platební balíček předaný příjemci, po výběru | 19 248 bajtů | ~456 bajtů |
| Nárůst na jeden převod | +7 392 bajtů | +48 bajtů |
| Nejhlubší řetězec | neomezená hloubka | ~956 bajtů (deset kroků) |
| Offline ověření | nezměřeno | ~12 ms |
| Implementace, benchmark, volba křivky | nic publikováno | referenční implementace a funkční demonstrátor |
Čísla v tabulce pocházejí z analýzy efektivity v článku, která udává velikosti jako abstraktní počty prvků grupy. Po převodu na křivku, kterou autoři sami zkoumali — převod provedla i citující literatura a došla ke stejnému výsledku —, dávají tyto počty velikosti v bajtech uvedené výše. Jejich bankovka má po vydání zhruba devatenáct kilobajtů a s každým předáním roste asi o sedm kilobajtů; po řetězci o deseti krocích je řádově na devadesáti kilobajtech. Není to chyba autorů: je to cena nejsilnějšího pojmu anonymity, kterou vědomě přijali a v článku ji zdůvodnili. Srovnává se na platebních balíčcích, a ne na důkazech, protože jejich důkaz viny má 96 bajtů a s hloubkou neroste — měřeno velikostí důkazu by obě řešení nešlo od sebe rozeznat.
Rozdíl je vědomý kompromis ve dvou bodech. Hloubka převodu je u Pactena omezená — deset kroků, jako nastavitelný parametr —, u nich omezená není. Soukromí je u Pactena transakční a přepažené na hranici vydavatele, ne celosystémové: obchodník se nedozví, kdo zaplatil; příjemce ověří protistranu, která stojí před ním, ale o dřívějších držitelích se nedozví nic; a vydavatel zná jen vlastního klienta plus vydavatele, s nímž musí zúčtovat. Uživatelé uprostřed řetězce se neodhalí nikomu. Nejsilnější pojem anonymity z literatury by navíc vyžadoval, aby vydavatel nemohl sledovat ani vlastní emisi; v regulovaném systému postaveném na KYC to není ani nutné, ani žádoucí, protože právě na hranici vydavatele je odpovědnost potřeba. Cena toho kompromisu je měřitelná: platební balíček Pactena roste o 48 bajtů na jeden převod, ne o sedm kilobajtů. Bauer, Fuchsbauer a Qian ukázali, že to jde; Pactena ukazuje, že to jde nasadit.
Průmyslová a centrálněbankovní linie
V devadesátých letech offline digitální hotovost skutečně existovala, v mnoha zemích a ve velkém. Tuto část většina výkladů vynechává — a přitom právě z ní lze dnešní situaci pochopit.
- Rok
90. léta
Co to byloDigiCash / eCash — Chaumova firma.
Co to daloDůkaz, že anonymní digitální platba funguje, na běžném osobním počítači, bez bezpečnostního hardwaru.
CenaV dodaném produktu ověřovala banka každou bankovku online; offline režim zůstal „future extension“ (budoucí rozšíření). Firma v roce 1998 zkrachovala.
- Rok
1992–1995
Co to byloCAFE — projekt EU ESPRIT, za účasti Chauma.
Co to daloNejpropracovanější konstrukce svého období — a jediná konstrukce té doby s kryptografickou identifikací podvodníka: „Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.“ (I když je odolnost proti manipulaci prolomena, uživatelé, kteří elektronické peníze utratí více než jednou, jsou identifikováni, a lze prokázat totožnost uživatele, jehož zařízení bylo k tomuto podvodu použito.) Už v roce 1994 autoři viděli, že rozhoduje prokazatelnost, která obstojí u soudu, ne samotná detekce.
CenaVlastními slovy projektu: „it allows just one transfer of the electronic money“ (umožňuje jediný převod elektronických peněz). Jeden krok. Žádný řetězec. Projekt se plánovaně uzavřel v listopadu 1995 a produkt z něj nikdy nevznikl.
- Rok
90. léta
Co to byloMondex — NatWest, později Mastercard.
Co to daloZ karty na kartu, offline, z ruky do ruky, bez zúčtování mezi tím — ve své době jediný systém, který zvládl řetězec neomezené délky. Certifikát ITSEC E6, formální bezpečnostní model a ostrý provoz ve více než tuctu zemí.
CenaDůvěra se přestěhovala do čipu. Karta nedokazovala, že nikdo nepodváděl; spoléhala na to, že podvod není proveditelný. Identifikace podvodníka žádná: karta uchovávala jen posledních deset transakcí a globální auditní stopa neexistovala. Dobová kritika říkala přesně toto. Poslední trh se uzavřel v roce 2008.
- Rok
1996–2020. léta
Co to byloGeldKarte, Octopus, Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Co to daloFunkční, rozšířená offline platba, v několika zemích, místy po desetiletí.
CenaVšechny postavené na čipové kartě odolné proti manipulaci. Převod mezi uživateli je buď výslovně vyloučený — německá dokumentace ke GeldKarte věnuje celou podkapitolu zásadě „Nichtübertragbarkeit von Guthaben“ (nepřevoditelnost zůstatku) —, nebo běží přes online aplikaci, jako u Octopusu. Kryptografickou identifikaci podvodníka nemá ani jeden; zneužití se řeší centrálními stínovými účty a černými listinami.
- Rok
2020. léta
Co to byloCentrální banky: offline vrstva digitálního eura, e-CNY, UPI Lite X, pilot e-koruny, digitální libra, BIS Project Polaris.
Co to daloOffline platba v ostrých, velkoobjemových systémech, v regulovaném prostředí, místy s více než jedním krokem.
CenaBezpečnostní kotvou je všude čip uvnitř uživatelova zařízení a identifikace podvodníka buď chybí, nebo probíhá institucionálně, ne kryptograficky. V experimentu Bank of England z roku 2025 použilo secure element pět dodavatelů z pěti; Riksbank zkusila návrh postavený jen na telefonech a písemně ho zamítla.
Dva vzorce, a drží čtyřicet let oba. Kde brali offline platbu vážně, tam pod ni dali hardware. Kde místo toho zvolili matematiku, tam buď nic nedodali, nebo cenu za podvodníka zaplatili poctiví. Žádný historický systém nesplnil zároveň offline řetězec o více krocích a kryptografickou identifikaci podvodníka: Mondex měl řetězec, ale ne identifikaci; CAFE mělo identifikaci, ale ne řetězec.
Nejsilnější historická poznámka ze všech je tato. Když se David Chaum sám v roce 2022 vrátil k offline platbě z ruky do ruky, sáhl zpět po fyzické kartě a napsal: „Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.“ (Řešení spoléhající jen na software — včetně dřívějších návrhů samotného autora — neposkytují silnou záruku finality.) Ten citát řeže na obě strany a obě čtení sem patří. V jednom zakladatel oboru konstatuje, že na čistě softwarové cestě dosud nikdo neuspěl. V druhém nemalá autorita tvrdí, že ta cesta nikam nevede. Druhé čtení je vážná výzva — a právě proto byla konstrukce Pactena změřena, ne jen navržena.
Prozkoumané zdroje
Tvrzení typu „nic dalšího se nenašlo“ má takovou cenu, jakou má rešerše, která za ním stojí. Zdroje jsou proto vyjmenované jeden po druhém, i s tím, kam až u každého z nich rešerše sahala.
- Archiv IACR ePrint
- Úplný korpus převoditelné e-cash — pět položek, nejnovější je předtisk Bauer–Fuchsbauer–Qian z roku 2020. Od té doby žádná nová převoditelná konstrukce nevyšla.
- DBLP
- Úplný seznam publikací všech autorů této linie po roce 2021 a všech třicet osm článků citujících Bauer–Fuchsbauer–Qian, přečtených jeden po druhém.
- SoK: Offline Payment Systems, 2026
- Všech třicet šest systémů z přehledu, buňku po buňce, vyčtených ze zdrojového LaTeXu článku.
- Programy konferencí
- Real World Crypto v úplnosti od roku 2015 do 2026, videoarchiv IACR s 2 290 záznamy, hlavní program Financial Cryptography a workshop CoDecFin z let 2019 až 2026.
- Disertační a diplomové práce
- Archivy HAL, CORE, TU Delft, Normandie a CUHK — mezi nimi práce obhájená v březnu 2026, která po čtyřech letech cíleného výzkumu stále stojí na bezpečnostním hardwaru.
- Google Patents
- Plnotextové a klasifikační vyhledávání, asi čtyřicet dotazů, s dvaceti sedmi patenty přečtenými na úrovni nároků.
- Centrálněbankovní a mezinárodní dokumenty
- Dvacet čtyři projektů, z toho třináct v plném textu oficiálního dokumentu — BIS, ECB, Bank of England, Riksbank, Fed a EDPB — a každý z dvanácti dodavatelů BIS Project Polaris zvlášť.
- Normalizační orgány
- ISO/TS 12812, EMVCo, ISO 20022, W3C, ETSI, X9 a GSMA. Kde je plný text placený, tvrdí se jen to, co doloží zveřejněný předmět normy.
- Historické systémy uložené hodnoty
- Dvacet pět systémů dohledaných až k primárním zdrojům — Mondex, DigiCash, CAFE, GeldKarte, Octopus a zbytek pole.
- Průmyslový a neakademický korpus
- Úplný archiv media.ccc.de a DEF CON 27 až 33.
- Registry výzkumného financování
- Přes agregátor OpenAIRE: CORDIS, ANR, DFG, UKRI, NWO, NSF a FWF. Dotaz offline AND payment vrací nula projektů.
- Neanglická literatura
- Čínské, japonské, korejské, ruské, německé a francouzské zdroje. Každá dostupná položka stojí bez výjimky na hardwarové kotvě důvěry.
Druhé a třetí kolo rešerše nepřineslo proti prvním šesti vlastnostem žádný nový nález. Rešerše dosáhla nasycení.
Hlasy zvenčí
Citáty o digitálních penězích a o offline placení samotném.
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(Každý z nich naráží na otevřené problémy: úplnou závislost na důvěryhodném hardwaru, deanonymizaci poctivých uživatelů při dvojím utracení, nebo transakce rostoucí s každou offline platbou. Dosud nebyl implementován žádný systém nabízející offline funkčnost.)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [Režim s více kroky] hinges entirely on the security of the hardware.
(V plně offline prostředí bez bezpečnostního hardwaru nelze dvojímu utracení zabránit. … [Režim s více kroky] závisí zcela na bezpečnosti hardwaru.)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(Model zúčtování s lokálním uložením — model zúčtování, v němž technické úlohy ověřování a evidence držených zůstatků plní bezpečnostní prvek (SE) v zařízeních uživatele digitálního eura…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(Všechna řešení použila bezpečnostní prvky k prevenci dvojího utracení a padělání nebo k ochraně kryptografických klíčů.)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(To možné nebylo, protože podle našeho hodnocení nešlo dosáhnout dostatečné bezpečnosti. Rozhodli jsme se proto postavit offline řešení výhradně na kartách.)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(Jakékoli řešení bude při ochraně před fyzickými a kybernetickými útoky záviset na odolnosti uživatelova zařízení proti manipulaci.)
Další dvě věty popisují zdánlivé dilema, na které celá rešerše mířila. BIS: „if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.“ (Pokud mezi zařízeními a totožností uživatele nejsou žádné vazby, nebylo by jak identifikovat potenciálně zlovolné uživatele, i kdyby šlo zlovolná zařízení ze systému vyloučit.) Bank of England: „if double spending were to occur, there would be no way of knowing which device initiated it.“ (Pokud by k dvojímu utracení došlo, nebylo by jak zjistit, které zařízení ho zahájilo.)
Centrálněbankovní pole zachází v roce 2026 s anonymitou a identifikací podvodníka jako s věcmi, které se vzájemně vylučují. Kryptografická literatura od roku 2021 ví, že se nevylučují. Chyběla nasaditelná instance.
Kde stojí Pactena
Kryptografickou proveditelnost té kombinace vlastností založila akademická literatura — Baldimtsi–Chase–Fuchsbauer–Kohlweiss v roce 2015 a Bauer–Fuchsbauer–Qian v roce 2021. To není sporné. Co Pactena přidává, je inovace a realizace: změřené velikosti, změřený čas ověření, referenční implementace a funkční demo, na běžném telefonu, bez bezpečnostního hardwaru. Platební balíček předaný příjemci má čerstvě vydaný asi 456 bajtů a při nejhlubším řetězci asi 956 bajtů, ověření trvá asi 12 ms.
Hloubka převodu je záměrně omezená na deset kroků, se zachováním soukromí. Externí kryptografické posouzení platební vrstvy probíhá; výsledek bude zveřejněn. Specifikace je hotová.
K srpnu 2026 není znám žádný jiný veřejně dokumentovaný, funkční platební systém, který by tuto kombinaci vlastností nabízel pohromadě, v implementované a změřené podobě.
Rešerše běží průběžně. Pokud o takovém systému víte, upřímně bychom se s ním rádi seznámili.